Viele Unternehmen wissen nicht, welche KI-Tools ihre Mitarbeitenden tatsächlich nutzen. Georges Wolff, Gründer und CEO der Digitalagentur Sunzinet, erklärt, welche Risiken durch Shadow AI entstehen und warum Unternehmen besser auf sichere Alternativen als auf Verbote setzen sollten.
Herr Wolff, wie beurteilen Sie das Thema Schatten KI? Wissen Unternehmen in der Regel, welche KI-Tools ihre Mitarbeitenden nutzen?
Die kurze Antwort lautet: Nein. Unternehmen wissen in der Regel nicht vollständig, welche KI-Systeme ihre Mitarbeitenden tatsächlich nutzen. Das hat mehrere Gründe. Erstens ist vielen Anwendern gar nicht bewusst, dass sie bereits mit KI arbeiten. Nicht jede KI sieht aus wie ChatGPT. Viele Anwendungen nutzen heute KI im Hintergrund, etwa für Analysen, Auswertungen oder automatische Empfehlungen. Nutzer erkennen oft nicht, ob eine Funktion KI-gestützt ist, geschweige denn, welches Modell oder welcher Anbieter dahintersteht. Diese „versteckte KI“ macht Transparenz besonders schwierig.
Bei generativen KI-Systemen wie ChatGPT oder Claude ist die Nutzung deutlich sichtbarer. Hier besteht wiederum die Gefahr, dass Mitarbeitende private und berufliche Nutzung vermischen. Beispielsweise werden Unternehmensinformationen oder sogar personenbezogene Daten in private Accounts eingegeben, oft nicht aus böser Absicht, sondern aus Gewohnheit oder weil berufliche und private Nutzung zunehmend verschwimmen. Darüber hinaus gibt es den bewussten Einsatz nicht freigegebener Systeme. Dabei muss man differenzieren: Viele Unternehmen erlauben bestimmte KI-Lösungen, allerdings nur für definierte Anwendungsfälle. Sobald sensible Daten verarbeitet werden oder andere Rahmenbedingungen gelten, kann dieselbe Lösung bereits nicht mehr zulässig sein. Gerade in diesem Graubereich entstehen häufig Datenschutz- und Compliance-Risiken.
Die geduldete Schatten KI
Ein weiterer Aspekt ist die geduldete Schatten-IT. Dieses Phänomen gab es lange vor dem KI-Zeitalter. Wenn Prozesse zu langsam oder Unternehmensvorgaben zu restriktiv waren, haben Mitarbeitende schon immer alternative Werkzeuge genutzt, um produktiver zu arbeiten. Mit KI hat dieses Thema jedoch eine neue Dimension erreicht. Der Nutzen vieler KI-Anwendungen ist so offensichtlich, dass Unternehmen häufig vor der Herausforderung stehen, Innovation zu ermöglichen und gleichzeitig Risiken zu kontrollieren.
Hinzu kommt, dass sich Lizenzmodelle, Infrastruktur und Data-Residency-Konzepte der Anbieter laufend verändern. Dadurch entstehen schnell Missverständnisse darüber, was datenschutzkonform ist und was nicht. Dabei gilt: Ein Dienst wird nicht automatisch problematisch, nur weil Server in den USA stehen. Entscheidend sind die vertraglichen und technischen Rahmenbedingungen. Genau hier tun sich viele Anbieter allerdings noch schwer.
Die vorsätzliche Shadow AI
Am Ende bleibt auch die vorsätzliche Shadow AI. Manche Mitarbeitende setzen bewusst nicht freigegebene Systeme ein, um schneller zu arbeiten oder sich Vorteile zu verschaffen. Aus meiner Sicht wäre es deutlich sinnvoller, diese Potenziale offen anzusprechen und gemeinsam Wege zu finden, solche Lösungen regelkonform ins Unternehmen zu integrieren. Denn wenn ein Tool echten Mehrwert liefert, sollte das Ziel sein, es sicher nutzbar zu machen, anstatt die Nutzung nur zu verbieten.
Welche Risiken bestehen, wenn Mitarbeitende im Marketing private Accounts von ChatGPT, Claude & Co. für ihre Arbeit nutzen?
Das größte Risiko ist der unkontrollierte Abfluss von Unternehmensdaten. Marketing arbeitet regelmäßig mit Informationen, die nicht öffentlich sind: Strategien, Kampagnen, Kundendaten, Marktanalysen oder interne Dokumente. Werden solche Inhalte über private Accounts verarbeitet, verliert das Unternehmen häufig die Kontrolle darüber, wo die Daten gespeichert werden, wie sie genutzt werden und welche vertraglichen Regelungen gelten.
Hinzu kommen mögliche Verstöße gegen Datenschutz-, Compliance- oder Geheimhaltungsanforderungen. Besonders kritisch wird es bei personenbezogenen Daten oder vertraulichen Kundeninformationen.
Wichtig ist dabei: Die meisten Verstöße entstehen nicht vorsätzlich. Oft geht es schlicht darum, schnell und effizient arbeiten zu wollen. Genau deshalb reicht es nicht aus, Verbote auszusprechen. Unternehmen müssen ihren Mitarbeitenden sichere und freigegebene Alternativen zur Verfügung stellen.
Wie kann ein Unternehmen Shadow AI verhindern, ohne die Mitarbeitenden bei der Nutzung von KI auszubremsen?
Indem es attraktive Alternativen schafft. Mitarbeitende greifen meist nicht zu inoffiziellen Tools, weil sie Regeln missachten wollen, sondern weil sie ihre Arbeit effizient erledigen möchten. Die Antwort auf Shadow AI ist deshalb selten ein Verbot, sondern ein gutes Angebot. Unternehmen sollten ihren Mitarbeitenden freigegebene KI-Werkzeuge bereitstellen, die die wesentlichen Anwendungsfälle abdecken und gleichzeitig den Anforderungen an Datenschutz, Compliance und Unternehmensrichtlinien entsprechen.
Genauso wichtig ist eine Kultur, in der neue Tools offen vorgeschlagen werden können. Mitarbeitende sollten ermutigt werden, innovative Lösungen einzubringen, statt deren Nutzung zu verbergen. Dafür braucht es einen strukturierten Prozess zur Bewertung und Einführung neuer Technologien.
Wie machen Sie das in Ihrem Unternehmen?
Wir selbst orientieren uns dabei an den Prozessen unserer ISO-27001-Zertifizierung. Neue Systeme durchlaufen eine Test-, Bewertungs- und Einführungsphase. So lassen sich Chancen und Risiken fundiert abwägen. Gleichzeitig profitieren auch unsere Kunden davon, weil wir nur Lösungen empfehlen, die sich in der Praxis bewährt haben und unter realen Unternehmensbedingungen funktionieren.
Keine übertriebenen Verbotsdebatten
Mein Fazit: Neue Technologien haben schon immer Chancen und Risiken mit sich gebracht. Ich erinnere mich noch gut an die Anfangszeit des Internets Ende der 1990er-Jahre. Damals waren Systeme oft deutlich unsicherer als heute. Trotzdem würde niemand ernsthaft infrage stellen, welchen Nutzen die Digitalisierung gebracht hat. Bei KI erleben wir aktuell eine ähnliche Diskussion. Risiken müssen ernst genommen werden. Gleichzeitig sollten wir darauf achten, Innovation nicht durch übertriebene Regulierungs- oder Verbotsdebatten auszubremsen. Wettbewerbsfähigkeit und Wohlstand entstehen durch den intelligenten Einsatz neuer Technologien, nicht durch deren Vermeidung.
Interview: Helmut van Rinsum
Georges Wolff ist Gründer und CEO der inhabergeführten Digitalagentur Sunzinet. Er verantwortet Strategie und Positionierung und misst digitale Investitionen an ihrem Business Impact: Umsatz, Effizienz, Krisenresilienz.
